一句话导读
我们比大多数网站更早「全流程接入 AI」：盘前素材由 AI Agent（dsh）自动抓取、内容由 AI 生成、本工作区本身就是一个 AI 工作流。AI 越深入，治理越不能缺位——对照 ISO 42001 / NIST AI RMF 的思路，盘点我们现有的 AI 资产与风险。
我们比大多数网站更早「全流程接入 AI」：盘前素材由 AI Agent（dsh）自动抓取、内容由 AI 生成、本工作区本身就是一个 AI 工作流。AI 越深入，治理越不能缺位——对照 ISO 42001 / NIST AI RMF 的思路，盘点我们现有的 AI 资产与风险。
一、现状：我们的 AI 资产盘点（🟢 本机实测）
| AI 资产 | 用途 | 数据流向 | 风险等级 |
|---|---|---|---|
| dsh（DeepSeek Harness） | 盘前/存储素材自动抓取（定时任务） | web 搜索 → 本地文件 → 被我引用 | 中：自动产出内容需人工核验（已配信号灯） |
| 本会话（小八弟） | 分析/写作/部署执行 | 本地 + API + 外链检索 | 中：对外内容须春哥拍板（铁律约束） |
| MCP / 外部服务 | 行情、文档、检索等工具 | 本地 → 第三方 API | 中低：需关注第三方数据收集（见法规专题实践篇） |
| 网站内容 AI 生成 | 文章/综述/专题 | 生成 → 人工校验 → 发布 | 低：均已人工核验 + 来源标注 |
二、风险清单（NIST AI RMF 四职能框架：治理/映射/测量/管理）
风险 1：AI 产出的「幻觉 / 事实错误」进入对外内容
对策：信号灯机制（🟢/🟡/🔴）+ 多源交叉实测 + 人工核验门禁——AI 内容不直接发布，先过「事实核查」。
对策：信号灯机制（🟢/🟡/🔴）+ 多源交叉实测 + 人工核验门禁——AI 内容不直接发布，先过「事实核查」。
风险 2：自动任务的「无人值守执行」
dsh 定时任务每天 8:42/8:45 自动跑，一旦 prompt 或来源变化可能产出错误素材。对策：任务日志 + 每日人工核验 + 素材带来源可追溯。
dsh 定时任务每天 8:42/8:45 自动跑，一旦 prompt 或来源变化可能产出错误素材。对策：任务日志 + 每日人工核验 + 素材带来源可追溯。
风险 3：数据经第三方 API 的隐私外溢
我们调用第三方 AI/搜索 API，工作区内容可能进入外部模型上下文。对策：私区内容不喂给公网工具、敏感信息分级处理（见法规专题实践篇）。
我们调用第三方 AI/搜索 API，工作区内容可能进入外部模型上下文。对策：私区内容不喂给公网工具、敏感信息分级处理（见法规专题实践篇）。
风险 4：AI 工具的依赖单点
盘前素材依赖 dsh + DeepSeek API，供应商版本/定价变动（如 API 大涨价）会直接影响产出。对策：工具升级滞后一版观察 + 多模型备选。
盘前素材依赖 dsh + DeepSeek API，供应商版本/定价变动（如 API 大涨价）会直接影响产出。对策：工具升级滞后一版观察 + 多模型备选。
三、行业现状对照
- 监管趋势：欧盟 AI Act（风险分级禁止/高风险/低风险）、中国《生成式 AI 管理暂行办法》、ISO 42001 管理体系——AI 治理正从「最佳实践」走向「法规要求」；
- 企业实践：大厂建 AI 使用政策（员工用 AI 的边界）、AI 内容标注、数据脱敏；
- 小团队现状：多数小团队「用了 AI 但无治理」，靠个人判断——我们已超前，但还没系统化（缺一页 AI 使用政策）。
四、下一步改进
- 写一页《AI 使用边界》：哪些内容必须人工核验、哪些数据不能喂给公网 API、AI 产出如何标注来源；
- ISO 42001 / NIST AI RMF 专题：补齐顶层体系规范板块（规划中），给实践篇提供标准坐标；
- 自动任务巡检：定时任务加「产出质量自检」（素材是否带来源、是否为空），失败告警。
⚠️ 实践篇（🟢 现状为本机实测 / 行业现状为 🟡 公开资料归纳），标准对照以官方文本为准。